Wpeeper Mobile Malware richt zich op Android-apparaten
Onderzoekers op het gebied van cyberbeveiliging hebben nieuwe malware geïdentificeerd die zich op Android-apparaten richt. Deze malware, genaamd Wpeeper, bleek gecompromitteerde WordPress-websites te gebruiken om de echte command-and-control-servers te maskeren, waardoor het moeilijk te detecteren was.
Wpeeper is ontworpen als een binair ELF-bestand en communiceert via HTTPS om de commando- en controleactiviteiten te beveiligen. Volgens het QiAnXin XLab-team fungeert Wpeeper als een achterdeurtrojan, waardoor aanvallers apparaatgegevens kunnen verzamelen, bestanden kunnen beheren en verschillende opdrachten kunnen uitvoeren op geïnfecteerde apparaten.
Wpeeper rijdt in een aangepaste versie van UPtodown
De malware wordt verspreid via een herverpakte versie van de UPtodown App Store-app (met pakketnaam "com.uptodown") voor Android. Deze aanpak wordt gebruikt om detectie te omzeilen, waarbij het geïnfecteerde APK-bestand als drager voor de achterdeur dient.
QiAnXin XLab ontdekte Wpeeper toen ze het op 18 april 2024 op VirusTotal ontdekten, zonder voorafgaande detectie. De campagne stopte vier dagen later abrupt.
De command-and-control-infrastructuur van Wpeeper omvat het gebruik van geïnfecteerde WordPress-sites als tussenpersoon, waarbij tot wel 45 command-and-control-servers kunnen worden geïdentificeerd. Sommige van deze servers fungeren als redirectors en sturen verzoeken door naar de eigenlijke command-and-control-servers om detectie te voorkomen.
Tot de mogelijkheden van de malware behoren het verzamelen van apparaatinformatie, het weergeven van geïnstalleerde apps, het bijwerken van de command-and-control-serverlijst, het downloaden van extra payloads en het automatisch verwijderen ervan.
Hoewel de exacte doelen en omvang van de campagne onduidelijk blijven, suggereert het gebruik van de Uptodown App Store-app een poging om gebruikers te misleiden om de malware te downloaden. Google nam contact op met nieuwszender The Hacker News en verklaarde dat er momenteel geen apps met deze malware op Google Play staan en dat Android-apparaten met Google Play Protect automatisch worden beschermd tegen kwaadaardige apps, zelfs als deze afkomstig zijn van andere locaties dan de Google Play Store.
